Loi 09-08, loi 05-20, directive Bank Al-Maghrib : ce que les textes imposent, les critères qui départagent les offres et une méthode pour décider par lot.
Une société de distribution de Casablanca renouvelle son ERP. L’éditeur propose une version hébergée dans une région cloud à Paris. Trois semaines après l’accord sur le devis, le responsable conformité demande si les fiches de paie, les coordonnées bancaires des clients et les contrats passés avec un établissement public peuvent quitter le territoire. Personne n’a la réponse, et le projet s’arrête le temps d’une analyse juridique qui aurait pris une journée au départ. Cette scène se rejoue dans la plupart des migrations que nous accompagnons. Trois questions règlent presque tout : quelles données, sous quel régime, et comment en sortir. Voici la grille que nous utilisons.
La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel reste, depuis 2009, le texte de référence. Son article 43 pose la règle : un responsable de traitement ne peut transférer des données personnelles vers un État étranger que si cet État assure un niveau de protection suffisant, et la CNDP établit la liste de ces États. Cette liste figure dans la délibération n° 236-2015 du 18 décembre 2015. Elle compte trente-deux pays : la quasi-totalité de l’Union européenne, le Royaume-Uni, la Suisse, la Norvège, l’Islande, le Liechtenstein et le Canada. Les États-Unis n’y figurent pas.
Deux conséquences. Même vers un pays de la liste, le transfert se notifie à la CNDP, et la procédure de notification publiée par la Commission en 2025 prévoit un formulaire dédié, le F-118. Vers un pays hors liste, l’article 44 n’ouvre que des dérogations : consentement exprès des personnes, nécessité contractuelle ou judiciaire, accord international, ou autorisation expresse et motivée de la CNDP lorsque des clauses contractuelles ou des règles internes garantissent une protection suffisante. Un SaaS dont les données, les sauvegardes ou le support passent par les États-Unis relève donc de l’article 44.
En avril 2022, la CNDP a annoncé avec Microsoft une procédure accélérée pour les clients marocains d’Office 365, tout en rappelant que le transfert à l’étranger reste soumis à autorisation préalable et qu’une autorisation CNDP ne remplace jamais celles que la DGSSI ou un régulateur sectoriel peuvent exiger.
La loi n° 05-20 relative à la cybersécurité a été promulguée par le dahir n° 1-20-69 du 25 juillet 2020. Elle vise d’abord les « entités », c’est-à-dire les administrations, les collectivités territoriales, les établissements et entreprises publics et toute personne morale de droit public, puis les infrastructures d’importance vitale, désignées secteur par secteur après avis de la DGSSI. Son article 11 tient en une phrase : les données sensibles doivent être exclusivement hébergées sur le territoire national. L’article 14 étend la règle aux infrastructures d’importance vitale, et l’article 49 punit l’hébergement de données sensibles hors du territoire d’une amende de 200 000 à 400 000 dirhams.
Deux précisions. Une entreprise privée qui n’a pas été désignée infrastructure d’importance vitale échappe à l’article 11 ; la loi 09-08 et son régulateur sectoriel continuent de s’appliquer à elle. Et la donnée sensible se définit par la classification du décret n° 2-21-406 du 15 juillet 2021 : chaque organisation concernée analyse l’impact d’un incident sur la confidentialité, la disponibilité ou l’intégrité de ses actifs, et les systèmes classés A ou B sont réputés sensibles.
Le décret n° 2-24-921 du 22 octobre 2024, publié au Bulletin officiel en février 2025, règle le cas du cloud. Pour ses systèmes ou ses données sensibles, une entité ou une infrastructure d’importance vitale doit recourir à un prestataire qualifié par la DGSSI. Le niveau 1 couvre l’hébergement et l’exploitation des systèmes sensibles et exige une société de droit marocain dont les infrastructures sont installées sur le territoire national. Le niveau 2 couvre le traitement et le stockage des données sensibles et ajoute un capital majoritairement marocain, un stockage et une administration exclusivement depuis le Maroc, et un personnel d’exploitation de nationalité marocaine. Le référentiel fixé par l’arrêté n° 3-17-25 du 1er août 2025 détaille le reste : chiffrement en transit et au repos, clés connues du seul client en niveau 2, réversibilité avec formats documentés ou API, information sur tout changement de sous-traitant, convention soumise au droit marocain.
Une transition est prévue. Faute d’offre qualifiée équivalente, un prestataire non qualifié reste possible après une analyse de risques couvrant la localisation, la réversibilité et le régime juridique du fournisseur, avec migration dès qu’un service qualifié existe. Les organisations déjà dans le cloud disposent de vingt-quatre mois à compter de l’entrée en vigueur, intervenue avec la publication de l’arrêté en août 2025. À la date de rédaction, nous n’avons pas trouvé de liste publiée de prestataires qualifiés.
Pour les établissements de crédit, Bank Al-Maghrib a publié la directive n° 4/W/2022 du 19 mai 2022 fixant les règles minimales en matière d’externalisation vers le cloud. Elle exige une classification des données qui définit, pour chaque classe, les localisations éligibles. Elle impose l’accord préalable de la banque centrale pour toute externalisation d’une fonction significative, un registre des fonctions externalisées précisant le pays et la région d’hébergement, une stratégie de sortie testée et la notification à la CNDP des traitements concernés. Son analyse de risques nomme les réquisitions judiciaires fondées sur un droit étranger et la capacité du fournisseur à laisser la banque gérer ses propres clés.
Pour l’assurance, nous n’avons pas identifié de circulaire de l’ACAPS consacrée au cloud à la date de rédaction. La loi 09-08 s’applique pleinement aux données des assurés, et il est prudent d’interroger l’Autorité avant d’engager une migration.
C’est le seul modèle qui satisfait sans discussion l’article 11 de la loi 05-20 et évite toute formalité de transfert. inwi exploite un centre certifié Tier III à Technopolis Rabat, avec une certification ISO 27001 sur ses services d’hébergement. Orange Maroc exploite à Casablanca un site certifié Tier III Design et Constructed Facility. N+ONE Datacenters détient des certifications Tier III de l’Uptime Institute pour ses sites de Nouaceur et de Settat. Atlas Cloud Services, à Benguerir, a annoncé des certifications Tier III et Tier IV. Le point faible reste la profondeur du catalogue de services managés.
Les régions les plus proches sont en Espagne et en France : AWS (Aragon, Paris), Microsoft Azure (Madrid, Paris), Google Cloud (Madrid, Paris). Ces pays figurent sur la liste de la CNDP, ce qui ramène la formalité à une notification. Le modèle exclut en revanche les données sensibles des entités et des infrastructures d’importance vitale, et il expose aux lois extraterritoriales du pays d’origine du fournisseur. Une variante est apparue en avril 2026 : Oracle a ouvert une région cloud publique à Casablanca, hébergée chez N+ONE, avec une seconde région annoncée à Settat. Reste à vérifier, offre par offre, si elle obtient la qualification DGSSI.
Une plateforme comme Jelastic, reprise par Virtuozzo en 2021, s’installe chez un hébergeur marocain ou européen et fait tourner des applications conteneurisées. On choisit l’hébergeur, donc la juridiction, et on conserve des formats standards qui rendent la réversibilité réelle. Le modèle convient aux applications web et métiers développées en interne, moins aux progiciels qui exigent une infrastructure spécifique.
Presque toutes les organisations finissent en hybride : les données sensibles et les systèmes cœur au Maroc, les charges élastiques, les environnements de test et la bureautique collaborative dans une région européenne. L’hybride réussit quand les flux entre les deux mondes sont inventoriés, chiffrés et mesurés.
Cinq étapes, avant tout appel d’offres.
Un RTO négocié en réunion reste une intention jusqu’au premier exercice chronométré. Ce qui sépare le plan de la réalité : l’arithmétique de la restauration, l’immuabilité des sauvegardes, les dépendances oubliées et l’exercice, seule preuve admissible.
Lire l'articleDéclaration ou autorisation CNDP, droits des personnes, transferts hors Maroc, articulation avec le RGPD, sanctions : le mode d’emploi concret de la loi 09-08.
Lire l'articlePourquoi une PME marocaine vise ISO/IEC 27001, le contenu de l’édition 2022, les étapes dans l’ordre, des durées réalistes et les erreurs qui coûtent un audit.
Lire l'articleDécrivez votre contexte en quelques lignes. Nous revenons vers vous sous un jour ouvré avec une première lecture et les questions qui comptent.
